Halo2 学习笔记——设计之Proving system之Multipoint opening argument（5）

1. 引言

假设$A,B,C,D$分别对应多项式$a(X),b(X),c(X),d(X)$的commitment。
假设$a(X),b(X)$ are queried at point $x$，$c(X),d(X)$ are queried at point $x$和$\omega x$。（此处，$\omega$为the primitive root of unity in the multiplicative subgroup over which we constructed the polynomials。）

为了open这些commitments，可构建多项式$Q$ for each point that queried at（对应为circuit中的每个relative rotation），但是这样的circuit效率并不开，如$c(X)$将在多个多项式中出现。

相反，可将commitments和queried points 进行分组：
{ x } { x , ω x } A C B D \begin{array}{cccc} &\{x\}& &\{x, \omega x\}& \\ &A& &C& \\ &B& &D& \end{array} ​{ x}AB​​{ x,ωx}CD​​

对于每组，可combine为a polynomial set，然后create a single $Q$ for that set，which we open at each rotation。

2. Optimization steps

multipoint opening optimization 的输入有：

• 由Verifier提供的随机值$x$，基于该随机值来evaluate $a(X),b(X),c(X),d(X)$。
• 在每个point每个多项式的evaluations值，由Prover提供：
  $a(x),b(x),c(x),d(x),c(\omega x),d(\omega x)$

这些都是vanishing argument的输出。

multipoint opening optimization的处理流程为：

• 1）引入随机值$x_1$，来keep $a,b,c,d$ linearly independent。
• 2）Accumulate polynomials and their corresponding evaluations according to the point set at which they were queried：
  q_polys:
  $$\begin{array}{rcclc}{q}_1(X)& =& a(X)& +& x_{1}b(X)\\ q_2(X)& =& c(X)& +& x_{1}d(X)\end{array}$$
  q_eval_sets:【为a vector of sets of evaluations，其中最外层vector对应为polynomial sets，最里层vector对应为evaluation of point sets in each polynomial set。】

          [
              [a(x) + x_1 b(x)],
              [
                  c(x) + x_1 d(x),
                  c(\omega x) + x_1 d(\omega x)
              ]
          ]
  

• 3） 对q_eval_sets中每个set of values进行插值：
  r_polys:
  $$\begin{array}{cccc}{r}_1(X)s.t.& & & \\ & r_1(x)& =& a(x)+x_{1}b(x)\\ r_2(X)s.t.& & & \\ & r_2(x)& =& c(x)+x_{1}d(x)\\ & r_2(\omega x)& =& c(\omega x)+x_{1}d(\omega x)\end{array}$$
• 4）构建f_polys来check q_polys的正确性：【注意，f_polys为witness，需进行blind commit，详细可参看 实际代码实现。】
  f_polys
  $$\begin{array}{rcl}{f}_1(X)& =& \frac{q_1(X)-r_1(X)}{X-x}\\ f_2(X)& =& \frac{q_2(X)-r_2(X)}{(X-x)(X-\omega x)}\end{array}$$
  若$q_1(x)=r_1(x)$, 则$f_1(X)$应为 a polynomial.
  若$q_2(x)=r_2(x)$ 且$q_2(\omega x)=r_2(\omega x)$
  则$f_2(X)$ 应为 a polynomial.
• 5）Sample random $x_2$ 来keep f_polys linearly independent。
• 6）构建$f(X)=f_1(X)+x_2{f}_2(X)$。
• 7）Sample random $x_3$，用于evaluate $f(X)$：
  $$\begin{array}{rcccl}f(x_3)& =& f_1(x_3)& +& x_2{f}_2(x_3)\\ & =& \frac{q_1(x_3)-r_1(x_3)}{x_3-x}& +& x_2\frac{q_2(x_3)-r_2(x_3)}{(x_3-x)(x_3-\omega x)}\end{array}$$
• 8）Sample random $x_4$ 来keep $f(X)$ 和 q_polys linearly independent。
• 9）构建final_poly：
  $$final\_poly(X)=f(X)+x_4{q}_1(X)+x_4^2{q}_2(X)$$
  final_poly为最终commit到inner product argument的多项式。

参考资料

[1] Halo2 之 Multipoint opening argument